CVE-2023-22515-Scan

概要

これは、CVE-2023-22515 用のシンプルなスキャナです。CVE-2023-22515 は、Atlassian Confluence Data Center および Server における重大な脆弱性で、現在、脅威アクターによって「不正な Confluence 管理者アカウントを作成し、Confluence インスタンスにアクセスする」ために活発に悪用されています。この脆弱性は当初「権限昇格」の問題として説明されていましたが、Atlassian はその後、セキュリティアドバイザリ で分類を「アクセス制御の不備」に変更しました。

CVE-2023-22515 のタイムライン

• 2023年10月4日: Atlassian は CVE-2023-22515 に関する セキュリティアドバイザリ を公開し、その中で Atlassian Confluence Data Center の重大な「権限昇格」脆弱性として説明しました。このアドバイザリには、影響を受けるバージョン、修正済みバージョン、回避策、IOC が含まれています。
• 2023年10月5日: 米国 CISA は、CVE-2023-22515 を既知の悪用済み脆弱性カタログに追加しました。同日、Rapid7 は 10月4日に公開された CVE-2023-22515 に関する記事を更新し、Rapid7 のセキュリティ研究者 Stephen Fewer がこの脆弱性が完全に認証なしで悪用可能であり、簡単に悪用できることを確認したと述べました。この更新ではまた、Rapid7 が /server-info.action エンドポイントを利用してこの問題を引き起こしたことにも言及しており、これは Atlassian のアドバイザリで言及されているエンドポイントとは異なります。
• 2023年10月6日: Atlassian は セキュリティアドバイザリ 内の CVE-2023-22515 の説明を「権限昇格」から「アクセス制御の不備」に編集しました。

CVE-2023-22515-Scan の詳細

これは、ホストごとに最大 2 回の HTTP GET リクエストを実行し、その応答を分析することで、Atlassian Confluence の脆弱性状態を判定しようとするシンプルなスキャナです。

• 指定された URL (アプリのベース URL にしてください) に対する GET リクエスト。ターゲットが Atlassian Confluence であることを確認し、製品バージョンを取得します。
• /server-info.action に対する GET リクエスト。応答コードを確認します。パッチの差分解析により、CVE-2023-22515 のパッチは /server-info.action エンドポイントを完全に削除することが分かりました。テスト中、このエンドポイントでは以下の動作が観察されました。
  • 影響を受けないバージョン (8.0.0 より前) は 404 ステータスコードで応答
  • 脆弱なバージョンは 200 ステータスコードで応答
  • 修正済みバージョンは 302 ステータスコードで応答

テスト済みバージョン

スキャナは、以下のバージョンの Atlassian Confluence Server に対して正常にテストされています。

• 7.4.10 (影響なし)
• 8.4.2 (脆弱)
• 8.4.3 (修正済み)
• 8.5.0 (脆弱)
• 8.6.0 (最新の Docker イメージ - 修正済み)

このスクリプトは限られたバージョンの Atlassian Confluence Server に対してのみテストされているため、スキャナは、特に Confluence Data Center や未テストの Confluence Server のバージョンでは、完全に信頼できるとは限りません。

インストール

• リポジトリをクローンします

git clone https://github.com/ErikWynter/CVE-2023-22515-Scan.git

• 作成されたディレクトリに移動します

cd CVE-2023-22515-Scan

• pip で依存関係をインストールします。お使いのローカルの python3 環境によって、必要なコマンドは次のいずれかになります:

pip install -r requirements.txt

または:

pip3 install -r requirements.txt

使用方法

usage: cve_2023_22515_scan.py [-h] [-f FILE] [-t TARGETS] [-o OUTPUT_DIR]

Scan Atlassian Confluence web instances for CVE-2023-22515

options:
  -h, --help     show this help message and exit
  -f FILE        File containing a list of URLs to scan
  -t TARGETS     Comma-separated list of URLs to scan
  -o OUTPUT_DIR  Output directory

例:

python cve_2023_22515_scan.py -f urls.txt -o results

python cve_2023_22515_scan.py -t http://192.168.10.10,http://192.168.10.11 -o results`

脆弱性ステータス

• likely vulnerable: ターゲットが脆弱なバージョンを実行している (またはバージョンを検出できなかった) 場合で、脆弱な /server-info.action エンドポイントにアクセスできる状態。
• likely not exploitable: ターゲットが脆弱なバージョンを実行しているが、/server-info.action エンドポイントにアクセスできない場合。おそらく修正済みであることを意味します。
• not vulnerable: ターゲットが脆弱なバージョンを実行していない場合、またはバージョンを検出できず、/server-info.action エンドポイントにもアクセスできなかった場合。
• unknown: /server-info.action エンドポイントへのアクセス中にエラーが発生したため、脆弱性ステータスを判定できなかった場合。

出力ファイル

• cve_2023_22515_scan.json - スクリプトによって認識されたシステムについて、製品バージョン、脆弱性ステータス、その他の関連情報を含む JSON ファイル。内容例:

[
  {
    "target_url": "http://192.168.91.202:8091",
    "product": "Atlassian Confluence",
    "version": "8.5.0",
    "vulnerability_status": "likely vulnerable"
  },
  {
    "target_url": "http://192.168.91.200:8090",
    "product": "Atlassian Confluence",
    "version": "8.4.3",
    "vulnerability_status": "not vulnerable"
  }
]

• cve_2023_22515_scan.txt - 人間が読みやすい形式で結果をまとめたテキストファイル。コンソールに出力されるレポートと同じ内容です (ANSI カラーを除く)。内容例:

http://192.168.91.202:8091 - Product: Atlassian Confluence Version: 8.5.0 - vulnerability status: likely vulnerable
http://192.168.91.200:8090 - Product: Atlassian Confluence Version: 8.4.3 - vulnerability status: not vulnerable

パッチ適用

影響を受けるバージョンと修正済みバージョンの情報については、公式のセキュリティアドバイザリを参照してください。

出力例